大數據時代個人信息“控制—利用”二元立法路徑重構*

靳雨露

（清華大學法學院，北京 100084）

一、引 言

個人信息立法與信息技術息息相關。①See Kenneth A.Bamberger,Deirdre K.Mulligan.Privacy on the Books and on the Ground.Stanford Law Review,2011,Vol.63,Iss.2,pp.254-256.在信息技術持續革新并推動個人信息立法的歷史演進中，個人信息域外立法在哲學基礎、價值取向上存在不同，歐美兩種個人信息立法模式體現出道義論與本體論的差異，對個人信息的控制和利用有不同的側重。②參見靳雨露《大數據時代個人信息立法第三條路徑初探——兼評歐盟本體主義與美國實用主義立法模式》，《西部法學評論》，2021年第3期，第98-102頁。我國《個人信息保護法》在第1條立法目的中同時規定保護個人信息與促進合理利用，為個人信息控制與利用二元路徑奠定了基礎。

大數據時代，在大數據技術加持下處理好個人信息控制保護與利用流通的關系，事關個人利益保護與大數據戰略發展的公共利益之間的均衡。但在當前普遍認可個人信息控制保護與利用流通雙重價值的前提下，無論是歐盟本體主義立法模式、美國實用主義立法模式，還是我國個人信息保護立法，都未有效解決如何均衡個人信息控制與利用這一難題。即當前在協調個人信息控制與利用時，歐盟本體主義模式中知情同意機制失靈，美國實用主義模式中個人信息出售機制亂象頻出，我國個人信息立法中匿名化制度遭遇技術瓶頸。這直接或間接地導致個人信息權益未能得到充分保護，也使數據利用和流通受到阻礙，影響大數據戰略的實施和數據產業的騰飛發展。

當前我國國家層面促進數據利用的大政方針不斷出臺。為此，我國《個人信息保護法》在立法目的中融入了“促進數據合理利用”，為個人信息立法實施“控制—利用”二元路徑創造了政治與法律基礎。因此，本文從當前不同立法模式對個人信息控制與利用關系協調的不足展開分析，嘗試重新構建二元立法路徑，得以兼顧個人信息控制保護與利用流通的關系，以期為個人信息合理利用的理論和實務提供參考。

二、國內外平衡個人信息控制與利用的既有路徑

（一）個人信息立法本體主義模式中的知情同意

個人信息立法本體主義模式的基本價值取向是保護人格尊嚴和人格自主。①See Paul M.Schwartz, Karl-Nikolaus Peifer.Prosser's Privacy and the German Right of Personality: Are Four Privacy Torts Better than One Unitary Concept.California Law Review,2010,Vol.98,Iss.6,pp.1963-1967.為此，在《通用數據保護條例》（General Data Protection Regulation，以下簡稱為GDPR）中賦予數據主體知情權、被遺忘權、訪問權、更正權等七項權利，②See General Data Protection Regulation,OJ L 119,4.5.2016,p.1-88,Art.6,12-22.保障個人對其個人數據的控制。③當前國際立法中，歐盟使用個人數據概念，美國和我國多使用個人信息概念。本文不涉及個人信息和個人數據的區分問題，文中個人數據即個人信息。除了給予個人對其個人數據的“控制”，GDPR規定的知情同意機制可視為平衡個人數據控制與利用的一項措施。根植于信息自決權理論，GDPR 第6 條規定處理個人數據應當經得數據主體的同意。這為個人信息控制和利用奠定了本體主義模式的基調，即個人對其個人數據擁有“控制權”，個人同意是個人數據利用的正當性前提與合法性基礎。④See Paula Walter.The Doctrine of Informed Consent: To Inform or Not to Inform, St.John's Law Review, 1997, Vol.71, Iss.3,pp.543-590.

知情同意機制最初設立的目的是保護個人的自主和尊嚴。⑤參見〔美〕卡羅爾·C·古爾德《民主如何做到知情同意——以互聯網和生物倫理為例》，黎春嫻譯，《哲學分析》，2021 年第5期，第96-98頁。當前，知情同意機制是歐盟本體主義模式、美國實用主義模式和我國個人信息立法中的基礎和核心規范。隱私法專家感嘆，“知情同意已成為個人信息立法的圣經”[1]。在世界各國個人信息立法中，知情同意機制普遍作為立法的根基而存在，是個人信息處理的前置性程序，也是收集和利用個人信息的先決條件。在實踐中，消費者使用應用軟件時，自動彈跳出的、用戶必須同意和勾選的隱私和個人信息保護政策，均是知情同意機制運作下的產物。⑥See Helena Ursic.The Failure of Control Rights in the Big Data Era-Does a Holistic Approach Offer a Solution? Springer,2018,pp.64-76.知情同意作為個人信息保護和個人信息處理的連接機制和“帝王條款”，深刻影響著個人信息的控制和利用。

（二）美國實用主義模式中的個人信息出售機制

美國實用主義模式以促進個人信息流通利用、追求個人信息商業價值為基本目標。在對個人信息控制層面，2018年《加利福尼亞州隱私保護法案》（The California Consumer Privacy Act of 2018，以下簡稱為CCPA）賦予個人知情權、選擇權、拒絕權、請求披露權、刪除權等，⑦See California Consumer Privacy Act of 2018,Senate Bill No.1121,Art.1798.100,105,110,115,120.以有限控制的方式實現對個人信息權益的保護。同時，在承認個人信息商業價值，并將個人信息視為可流通商品的實用主義模式中，CCPA 允許個人信息的出售行為，規定有相應出售機制，鼓勵企業以資金補償等方式與個人就其個人信息的出售進行談判和協商，以激勵個人信息的流通和利用。⑧See California Consumer Privacy Act of 2018,Senate Bill No.1121,Art.1798.125.

個人信息出售機制保證信息主體享有自由出售其個人信息并從中獲取財產收益的權利，同時其以雙方自愿交易確定交易價格的方式保障了最低的信息交易成本。⑨See Julie E.Cohen.Examined Lives:Information Privacy and the Subject as Object.Stanford Law Review,2000,Vol.52,Iss5,p.1391.在個人信息出售激勵機制中，企業除了可以開辟與信息主體就其個人信息使用（出售）價格進行磋商的渠道外，法律允許企業就個人信息的價值進行評估后，就個人信息的質量、水平等價值差異提供不同的價格區間和梯度以供信息主體選擇，以激勵個人信息出售的行為。⑩See California Consumer Privacy Act of 2018,Senate Bill No.1121,Art.1798.125.

（三）我國個人信息立法中的控制與利用

我國《個人信息保護法》從內涵和外在兩種體系維度，擬在控制保護個人信息的基礎上，促進個人信息的流通和使用。就內涵而言，《個人信息保護法》在其立法宗旨、基本原則和基本制度三個層面平衡個人信息的控制和流通。?參見申衛星《論個人信息保護與利用的平衡》，《中國法律評論》，2021年第5期，第28-36頁。首先，在立法宗旨中，《個人信息保護法》第1條開宗明義地道出個人信息立法要兼顧個人信息保護與促進數據合理流通與使用。該立法目的貫穿《個人信息保護法》的始終，也是理解該法的重要線索。其次，在第2條保護個人信息權益的基本原則下，《個人信息保護法》第47—50 條設立有決定權、刪除權、知情權等，以保障個人對其個人信息的控制。第5—7 條規定有個人信息處理的一系列原則，包括目的確定與最小原則、透明原則、合法正當、必要原則等。這些體現出對個人信息自決權的維護和對數據處理、利用的審慎態度。最后，《個人信息保護法》中知情同意、風險管理等基本制度，都是針對個人信息控制—利用這對矛盾體所做出的緩和措施。

就外在體系而言，我國《個人信息保護法》相較于GDPR 的突破點在于匿名制度的設計?！秱€人信息保護法》第4條明確將匿名化處理后的個人信息排除在其規制范圍之外，為信息的流通和利用預留了空間?！澳涿敝贫葏^別于GDPR 的“假名化”制度?！澳涿笔鞘沟媒涍^處理的個人信息不具有可復原的識別性。而GDPR 中的“假名化”指對個人信息進行處理，使其沒有額外信息即不能識別出特定信息主體。此外，GDPR并未排除保護假名化的個人信息。匿名化制度的設置可以看作是對當前個人信息保護與利用邊界的一次正面回應。

三、既有路徑平衡個人信息控制—利用的困境及其破解進路

（一）既有立法路徑平衡個人信息控制—利用的困境

1.知情同意機制失靈

知情同意機制已成為當今世界各國個人信息立法的通行機制。知情同意的本質是在信息利用前向信息主體征得同意和授權的前置程序，目的是強化信息主體的自主控制。①See Daniel J.Solove.Introduction: Privacy Self-Management and the Consent Dilemma.Harvard Law Review, 2013, Vol.126,Iss.7,pp.1880-1903.強調個人信息自主和控制的知情同意機制在大數據時代問題頻發。

一是知情同意機制使“同意”格式化，使“知情”形式化。一方面，格式化的同意弱化了自主控制。當知情同意成為個人信息保護的準則，同意不再是信息主體的選擇和權利，而成為信息主體在賽博空間使用服務的對價和不得不簽訂格式化合同的義務。②See McKay Cunningham.Next Generation Privacy:The Internet of Things,Data Exhaust,and Reforming Regulation by Risk of Harm.Groningen Journal of International Law,2014,Vol.2,Iss.2,pp.117-121.另一方面，形式化的知情削弱了信息主體的實質權益。在格式化的同意之下，即使知情同意機制照常運作，但信息主體對其個人信息被利用的具體情況依舊不知情?！爸椤绷饔谛问綄е滦畔⒅黧w知情權不斷被弱化。

二是知情同意使得信息主體和企業呈現雙虧損（lose-lose situation）的局面。在信息主體遭遇無意義的“通知”和被削弱的“知情”的情況下，知情同意反而不適當增加了企業收集和利用數據的成本。個人信息在收集階段的高額成本導致后續利用和流通的緩慢和滯后。表面上看似作為個人信息控制與使用之間潤滑劑的知情同意，實則已成為信息保護和流通雙向的絆腳石。

三是知情同意因規模效應和聚合效應造成額外風險。在知情同意機制之下，企業為了合規而實施的形式主義授權通知政策，導致企業隱私和個人信息政策的規模效應和聚合效應。③參見呂炳斌《個人信息保護的“同意”困境及其出路》，《法商研究》，2021年第2期，第89-90頁。企業的個人信息政策趨同化、規?；途酆匣?，使信息主體形成知覺定式，帶來更多潛在的隱私和敏感信息泄露風險。

2.個人信息出售機制亂象頻發

美國實用主義立法模式的一大特色是承認個人信息的財產屬性，將個人信息視為可交易的商品，并設有個人信息出售機制激勵個人信息的交易和流通。在個人信息立法中納入個人信息出售機制，迎合了當前大數據發展的戰略需求，以商家給付金錢為對價，有利于鼓勵個人對其個人信息進行出售，被視為個人信息利用的有效激勵手段。然而，個人信息出售機制自建立時起便不斷受到理論質疑，在實踐中也亂象頻發。

美國隱私法專家朱莉·寇恩曾論證隱私信息保護與其作為財產權客體間具有負相關性。④See Julie E.Cohen.Examined Lives:Information Privacy and the Subject as Object.Stanford Law Review,2000,Vol.52,Iss.5,p.1391.當前個人信息交易機制促使個人放棄對其個人信息在網絡上的控制權，承認個人信息的財產屬性在某種意義上促成了更多的交易，但卻使人們享有更少的信息隱私。將屬于人格權客體的個人信息公開出售，也遭遇來自法哲學家的批判：其違背康德所言的“法律應將人當作目的，而絕不是手段”[2]。在實踐中，個人信息出售機制存在定價困難、加劇行為偏見、使消費者遭遇價格歧視、監管成本過高等個人信息交易市場中的缺陷問題。①See Steven H.Hazel.Personal Data as Property.Syracuse Law Review,2020,Vol.70,Iss.4,pp.1073-1074.甚至可能導致新的個人信息保護分層的出現，即處于較高收入群體的公民可免于個人信息被出售和利用，而處于較低收入群體的公民將讓渡隱私權和個人信息控制權以換取可得金錢利益。

3.匿名化制度遭遇技術壁壘

在既有平衡個人信息控制—利用的立法路徑中，我國《個人信息保護法》匿名化制度的設立比GDPR假名化制度向前邁進了一步，解決了信息的利用問題。根據匿名化的相關規定，只要將收集的個人信息進行匿名化處理，企業即可自行利用該匿名化信息，而不再需要經得信息主體的同意，使得信息主體在一些場景中完全喪失對信息的控制。然而，在大數據時代，將匿名化信息排除在個人信息保護法的保護和控制之外，以促進數據流通的美好愿景，遭遇匿名化的技術壁壘。

作為偽命題的匿名化制度飽受詬病。隱私法和通信技術領域的專家伍德羅·哈特佐格告誡人們：“包含個人信息的數據集完全匿名化已宣告失敗?！盵3]大數據技術的騰飛不只帶來匿名化技術，還有迅速迭代發展的重新識別技術。技術科學家已經證明，他們可以輕松地在匿名數據中重新識別或重新定位到被隱藏的個人。大數據分析師們發現，經過匿名化處理的數據依然具備識別性，營銷人員和黑客仍舊可以肆無忌憚地從匿名化數據中跟蹤到原本應當不可被識別的個人。②See Paul Ohm.Broken Promises of Privacy:Responding to the Surprising Failure of Anonymization.UCLA Law Review,2010,Vol.57,Iss.6,p.1703.美國政府的一份工作報告也顯示，當前重新識別技術可在匿名數據中通過隨機選取的三組數據重新識別到特定個人。③See Paul Ohm.Broken Promises of Privacy:Responding to the Surprising Failure of Anonymization.UCLA Law Review,2010,Vol.57,Iss.6,p.1705.因此，匿名化制度在既有大數據背景下遭遇技術壁壘，無法真正實現。此外，數據在可有效利用和完全匿名化兩者間不可兼而有之。當數據被證實完全匿名化時，也喪失了利用價值。

除此之外，我國《個人信息保護法》中還規定有去標識化制度。去標識化指個人信息經過處理后無法單獨識別出特定個人的技術措施。去標識化后的信息并未被排除在《個人信息保護法》的控制保護范圍。在實踐中被廣泛利用的去標識化（假名化）處理后的信息和匿名化信息，前者并未被排除在當前個人信息立法控制之外，后者在技術上無法真正實現。因此，個人信息立法在個人信息利用上的已有路徑均無法真正有效平衡個人信息控制和利用。

（二）破解個人信息控制—利用困境的邏輯進路

1.個人信息控制—利用困境的分析

大數據時代個人信息立法中的既有路徑遭遇困境，無法平衡好個人信息控制和利用關系。而知情同意機制僵化、個人信息出售機制適用亂象、匿名化制度無法真正實現的問題，均可歸因于對個人信息保護的失效和對個人信息使用流通的忽視。

對個人信息控制的失效集中體現在知情同意機制失靈。知情同意機制適用的前提是可識別個人信息說的盛行。當前對個人信息的界定，無論是歐盟GDPR、美國CCPA，還是我國《個人信息保護法》都極力推崇個人可識別信息說（Personal Identifiable Information）。在可識別說下，任何有可能識別出特定自然人的信息都涵蓋在個人信息概念范疇之內。然而，在如此寬泛的可識別個人信息概念之下設立諸多控制權利，直接導致信息控制的范圍被無限擴大，甚至干預和妨礙到公共領域中，維持社會正常運作的信息流通和利用。④See Paul M.Schwartz, Daniel J.Solove.The PII Problem: Privacy and a New Concept of Personally Identifiable Information.New York University Law Review,2011,Vol.86,Iss.6,pp.1879-1884.知情因個人信息內容過載而被形式化，通知因企業為降低個人信息收集成本而被格式化，雙重的削弱導致知情同意機制形同虛設。

當前已有的個人信息立法路徑中缺乏對個人信息使用規則的設置與關注。對個人信息利用規則設置的忽視集中體現在個人信息出售機制的亂象上。個人信息在實然上如何被促進利用、在使用過程中如何規制風險等問題一直被忽視，相關規則缺位。個人信息使用過程中監管規則的不足，導致個人信息出售機制的風險并沒有在可控范圍內，不僅對個人信息交易市場無益，也無法起到應有的促進個人信息利用的作用。而匿名化制度遭遇信息技術的壁壘反映出，在大數據技術背景下對個人信息可被控制和利用的范圍存在根本認知錯誤。

2.控制—利用二元路徑設立的必要性

信息早已成為信息社會的重要財產。信息、物質與能源，是當今維系人類社會存在及發展的三大要素。①參見王憲磊《信息經濟論》，北京：社會科學文獻出版社，2004年，第25頁。大數據、云計算、人工智能和區塊鏈技術使信息的價值逐漸顯露，信息已成為當今社會超越石油的最有價值的資源。②See Leon Trakman, Robert Walters, Bruno Zeller.Trade in Personal Data: Extending International Legal Mechanisms to Fa‐cilitate Transnational Trade in Personal Data?European Data Protection Law Review,2020,Vol.6,Iss.2,p.243.經過大數據技術的提煉加工，海量、離散的數據可以蛻變為對智能醫療、智能物流等智能社會生產生活有用的信息。③參見賁德《信號、數據和信息的歷史及展望》，《數據采集與處理》，2015年第2期，第242頁。在大數據時代和智能社會中，信息的流通和利用早已不可或缺。

“人類首要的資源是人類自身?！盵4]在馬克思理論中，人除了是勞動力量的來源，同時也是知識和信息的源泉。④參見〔英〕馬克思·博伊索特《知識資產：在信息經濟中贏得競爭優勢》，張群群、陳北譯，上海：上海人民出版社，2021年，第24頁。在賽博空間中，個人信息是大數據產生的源頭。信息主體在網絡中的行為無時無刻不在產生數據，這些數據在現有技術條件下被自動化地收集、處理、利用和流通。因此，個人信息利用在實然上的既定性應當被清晰認知和肯定，這是個人信息利用規則應當存在的現實基礎，也是人類社會進步的必要條件。

在個人信息無時無刻不被利用的情況下，個人隱私與個人信息被侵害成為人們的普遍憂慮。⑤See Anita L.Allen.Protecting One's Own Privacy in a Big Data Economy.Harvard Law Review,2016,Vol.130,Iss.2,pp.71-78.步入風險社會，在個人信息使用情形更多樣化與多元化之下，信息主體被侵權的風險急劇增加。對未知風險的恐懼使得人們開始主張廣泛的控制權利。個人信息的控制是個人在信息社會用以保有私領域，對抗公領域入侵的砝碼，應當予以支持。而信息社會向前發展的基本條件——個人信息利用也應當被肯定和鼓勵。因此，厘清個人信息控制和利用的事實范疇，在此基礎上設立控制能控制的、利用可利用的個人信息二元立法路徑，是助力信息社會向前發展的必要措施，是法律強化個人信息保護與防控個人信息利用風險的最佳選擇。

四、個人信息控制—利用二元立法路徑的體系化重構

大數據時代，平衡個人信息控制和利用極為必要。在國內外平衡個人信息控制和利用的既有路徑遭遇困境、無法有效運作的背景下，應根據個人信息控制和利用的實然需求來體系化重構二元路徑，探索個人信息控制—利用二元路徑的應然目標、理論基礎，并重置法律規則。

（一）控制—利用二元路徑的應然目標

個人信息控制—利用二元路徑的應然目標有二：一是為個人劃清私人領域與公共領域的界限，二是均衡個人信息控制保護與促進合理流通使用之間的關系。

二元立法路徑的目標之一是劃清私人領域與公共領域的界限。隨著通信與數據技術不斷發展，人類社會中私人領域被不斷侵入，私人領域與公共領域之間的邊界也被迫不斷調整。私人領域觀從風可進雨可進、國王不可進的物理界限，發展到網絡空間中能否被識別的匿名化技術界限。當前個人信息立法中的匿名化制度，即是個人信息保護法對私人領域和公共領域劃分的嘗試。然而，匿名化制度的技術不能昭示著私有領域和公共領域在個人信息保護法中的混同與模糊。

平衡個人信息控制和流通應當做到既切實保護個人信息權益，又促進個人信息流通和利用。在這一目標之下，保護個人信息權益應當破除知情同意機制的僵化、揭開大數據時代個人信息權益的面紗。個人在信息縱橫、萬物互聯時代享有信息權益，應被全面和多元化認知、被充分保護。而個人信息的利用應當被允許、被促進和被規制。當個人信息的利用在大數據時代已成既定事實且不可或缺時，二元路徑應積極回應時代命題、響應時代需求，并切實做好個人信息利用的合規。這要求個人信息立法應當同時設置有個人信息控制保護規則和個人信息流通利用規則。

（二）控制—利用二元路徑的理論基礎

個人信息控制—利用二元路徑應當引入新的理論基礎，以實現私人領域與公共領域清晰邊界劃定，和個人信息控制—利用平衡的應然目標，最終保障個人信息權益被全面、充分和多元化的保障，以及個人信息自由、高效和便捷的流通。

其一，認識到個人信息的個人和公共雙重價值屬性，對個人屬性部分的信息進行控制，促進公眾屬性部分信息的使用。個人信息控制—利用二元論的理論根基是對個人信息雙重屬性的認知。個人信息由個人產生，姓名、肖像和生物識別等信息無不伴隨著人的一生，個人對其個人信息享有支配權等控制權。但步入信息和大數據時代，在智慧城市中，個人出行信息、上網行為軌跡等無時無刻不被自動化收集和處理以便利人類生產生活。部分個人信息的利用和處理成為當前社會正常運行和向前發展的基石，個人信息除了個人私有的面向，其更多的社會公共價值屬性開始突顯。因此，大數據時代的個人信息立法應當認識到個人信息個人和公眾兩個層面的價值屬性，這是二元立法路徑的基本理論。

其二，承認個人信息上承載的人格與財產雙重權益屬性，引入信息財產權理論來規范個人信息的控制和利用。當前在可識別標準下，個人信息指能識別出特定信息主體身份的信息，無論是姓名、肖像、身份證和生物識別等個人信息，還是與其他信息結合，只要能識別出特定信息主體，即為個人信息。個人信息承載著個人獨一無二的標識，在姓名、肖像和隱私等個人信息均已上升為獨立的人格權客體予以保護的情況下，同屬于個人信息的生物識別信息等承載人格利益，這點毋庸置疑。

在大數據和信息時代，任何信息均有潛在的商業價值。①See Rob Kitchin.Big Data,New Epistemologies and Paradigm Shifts.Big Data&Society,2014,Vol.1,Iss.1,pp.1-2.諾貝爾經濟獎得主肯尼斯·阿羅有言：“把信息作為一種經濟物品來加以分析，既可能，也非常重要?！盵5]早在20世紀60年代，美國學者Allan F·Westin 就指出，應在個人信息上設立產權制度，引入財產權保護規則。②See Allan F.Westin.Privacy and Freedom,The Bodley Head Ltd,1967,pp.324-325.在保護個人信息權益時，若僅給予信息主體個人信息的人格權益，將無法確保信息主體從企業利用其個人信息產生的紅利中獲益，不利于個人信息權益的全面保護。③See Sarah Brown.EU and UK Consumer Credit Regulation: Principles, Conduct, and Consumer Protection: Divergence or Convergence of Approach.European Business Law Review,2015,Vol.26,Iss.4,pp.565-570.在信息財產權理論下，包括個人信息、商業數據在內的任何具有經濟價值的信息均應給予產權保護。如信息主體就個人信息享有個人信息財產權，企業就其進行加工處理的數據（庫）享有財產權等。信息財產權理論的采用，有助于個人信息控制—利用二元路徑對信息權屬的劃定。

（三）控制—利用二元路徑的規則重建

大數據時代的個人信息二元立法路徑應分別重構控制保護個人信息與促進個人信息流通使用的規則體系。通過構建相配套的個人信息直接識別制度、個人信息利用促進和利用規制（監管）以及信息財產權屬制度等，實現個人信息控制和利用的平衡。

首先，個人信息控制規則的重構需重塑個人信息識別制度。由上文分析可知，知情同意機制僵化表現在知情無法充分而同意被格式化。導致這一現象的原因是個人信息可識別標準與現有技術不適應。在既有大數據背景下，可識別標準幾乎囊括任何與個人相關的信息。一味強調對所有個人相關信息的控制，最終只能導致對個人信息控制不利，以及個人信息沉沒而無法利用的后果。大數據時代的個人信息立法應在當前信息技術發展基礎上構建與之相匹配的制度。個人在信息時代能夠被控制和保護的是與人身財產利益直接相關的個人信息，諸如姓名、肖像、社交賬號信息、電話號碼、身份證號碼和生物識別信息等。強調對此類與個人利益直接相關、能直接識別或聯結到特定主體的個人信息的控制，在技術上簡易可行。④See Barbara L.Cohn.Data Governance:A Quality Imperative in the Era of Big Data.Open Data and Beyond,A Journal of Law and Policy for the Information Society,2015,Vol.10,Iss.3,pp.811-826.在此類直接識別個人信息上設立知情權、更正權、刪除權、許可使用權、退出權等，既能節約控制保護時信息主體知情的成本，也能大大提高通知的效率，實現控制保護的高效和有力。

其次，促進個人信息使用與流通規則的重構需構建起個人信息利用促進與個人信息流通監管與規制的雙向制度?，F有立法路徑中對個人信息利用的促進包括美國的個人信息出售機制和我國的匿名化制度，前者強調將個人信息當作商品由市場自發調控，而后者主張將個人信息匿名化處理后即可實現無障礙地利用和流通。鑒于后者實現的技術瓶頸（前已分析），可通過優化前者、增加相應規制措施，消除其加劇行為偏見、價格歧視等現有積弊，實現對個人信息合理使用豁免場景的搭建。簡言之，應增加個人信息利用促進和利用規制的相應規則，包括個人信息利用促進的原則性條款、個人信息利用促進和利用規制的具體規則。前者主要包括促進個人信息利用和大數據產業發展的原則性條款，以及個人信息可被利用情形的具體規范；后者主要包括個人信息利用應當遵循信息主體自愿和有償原則、個人信息利用不得侵害在先權利、遵循行業道德和市場競爭規則等。①See Moira Paterson, Maeve McDonagh.Data Protection in an Era of Big Data: The Challenges Posed by Big Personal Data.Monash University Law Review,2018,Vol.44,Iss.1,pp.3-9.

最后，個人信息控制—利用二元路徑的實現需引入信息財產權制度，重構信息權屬規則。根據洛克的勞動價值理論，個人勞動融入全人類共同的財產資源中產生的、具有新價值的勞動成果,應該歸屬于個人私有。②參見王鐵雄《財產權利平衡論——美國財產法理念之變遷路徑》，北京：中國法制出版社，2007年，第87-89頁。從全面保護個人利益的角度看，賦予個人信息財產權益，使個人享有從其個人信息中分享數據紅利、獲得經濟利益的權利，相較于單純的人格權益，能給予個人更多、更全面的保護。從信息利用和資源高效分配的角度看，清晰的產權界定是資源高效配置的前提。③See R.H.Coase.The Problem of Social Cost.Journal of Law&Economics,1960,Vol.3,pp.1-44.引入信息財產權來明確不同類型信息的權屬，有利于促進信息的流通利用。概言之，信息財產權的客體是具有商業經濟利益的信息，主體是商業價值信息的直接來源者或勞動投入者。據此，個人對其具有商業價值的個人信息享有財產權益，企業對其投入勞動后形成的具有商業價值的數據庫等享有財產權益。如此清晰的權屬界定，可為個人信息劃清私域控制與公域利用的邊界，也能合理分配個人信息利用過程中各方的應得利益，實現個人信息控制和利用的平衡。

五、結 語

大數據時代，技術改變著數據生產、收集、加工和利用的方式。④See Barbara L.Cohn.Data Governance:A Quality Imperative in the Era of Big Data,Open Data and Beyond,A Journal of Law and Policy for the Information Society,2015,Vol.10,Iss.3,p.811.當大數據的巨大價值日益凸顯，個人信息作為重要數據來源，合理平衡個人信息的控制和利用攸關個人利益保護和社會公共利益增進的均衡。在大數據時代，國內外既有平衡個人信息控制與利用的路徑——知情同意、個人信息出售和匿名化機制，均遭遇困境。強化自主控制的知情同意機制被逐漸削弱、個人信息出售機制亂象頻發、匿名化機制遭遇技術瓶頸。而破解現有困局的關鍵在于個人信息控制—利用二元路徑的重構。質言之，個人信息二元立法路徑的體系化重構包括應然目標、理論基礎和規則重建三個方面的內容：首先，二元路徑的應然目標是劃清私人領域與公共領域的界限，有效平衡個人信息控制保護和利用流通的關系；其次，二元路徑應厘清個人信息的個人與公共雙重價值屬性，認可個人信息蘊含的人格與財產雙重利益屬性，引入信息財產權理論來規范個人信息的控制和利用；最后，應分別重構個人信息控制保護和個人信息利用流通的規則體系，并構建與之相配套的個人信息直接識別制度、個人信息利用促進和利用規制以及信息財產權屬制度，實現個人信息控制和利用的平衡。